Хроники связи СВО

Android спрячет имена сайтов. Android 17 станет первой крупной мобильной системой, которая на уровне платформы будет прятать от провайдера имена сайтов и сервисов. Google встраивает поддержку Encrypted Client Hello — и не только для браузера, а для обычных приложений тоже. Начнём с того, откуда вообще провайдер знает имя сайта, если у вас HTTPS. При установлении защищённого соединения браузер первым делом сообщает серверу, к какому имени он обращается. Происходит это до того, как включилось шифрование, и в открытом виде. Поле называется указанием имени сервера. Нужно оно не для слежки, а по делу: на одном адресе живут сотни сайтов, и сервер должен понять, чей сертификат вам предъявлять. Без имени он не знает, кем ему представиться. Побочный эффект — это единственное место в рукопожатии, где имя лежит открытым текстом. По нему и работает основная масса фильтрации: система видит имя, сверяет со списком, решает. Что делает ECH. Он прячет всё рукопожатие целиком, вместе с именем, внутрь зашифрованной оболочки. Наружу уходит внешнее рукопожатие с общим именем облака, а настоящее имя видит только сервер. Ключ, которым клиент шифрует своё рукопожатие, публикуется в DNS. Специальной записью. То есть чтобы спрятать имя сайта, устройство сначала должно сходить в DNS и достать оттуда ключ. Причём сходить безопасно, иначе провайдер и запрос увидит, и ответ подменит. ECH держится на зашифрованном DNS. Без него не работает. Ровно об этом был мой пост неделю назад, когда в стране взялись душить DoH. Там я писал: ломается разрешение имён — перестаёт работать и шифрование имени, одно тянет за собой другое. Теперь эта связка стала штатной частью операционной системы на сотнях миллионов устройств. Оговорки, и они существенные. Адрес назначения всё равно виден. Поддерживать ECH должны и приложение, и сервер, и DNS должен быть защищён. Это не средство обхода блокировок, а шаг к приватности, и сами авторы новости это честно проговаривают. Теперь про последствия. Заблокировать ECH технически несложно: система фильтрации видит в рукопожатии соответствующее расширение и рвёт соединение. Так уже делали. Только характер отказа при этом меняется, и это принципиально. Раньше было так: не удалось зашифровать DNS — устройство тихо откатилось на обычный, страница открылась, человек ничего не заметил. Отказ в сторону «работает». Теперь иначе: ECH зашит в платформу, сеть его режет, соединение не устанавливается. Отказ в сторону «не работает». Не медленно, а никак. И сразу у всех, у кого обновился телефон. Теперь посмотрите на всю цепочку последних недель. Фильтровали по имени. Имя спрятали. Значит, фильтровать придётся по адресу. Адреса лежат в общих облаках, где на одном адресе сотни клиентов. Значит, потребовали вынести разрешённые адреса в отдельные подсети — что уже и происходит. А следующий шаг мы обсуждали вчера: выключать в зоне всё подряд, потому что различить внутри зашифрованного потока ничего нельзя. Вот закономерность, которую стоит записать. Каждый виток шифрования делает фильтрацию на ступень грубее. От имени — к адресу. От адреса — к подсети. От подсети — к рубильнику на район. Точность инструмента падает, а сопутствующий ущерб растёт. И платят за это не те, ради кого всё затевалось, а обычные пользователи разрешённых сервисов. Это не спор про приватность и не борьба хороших с плохими. Это простая инженерная закономерность: чем лучше спрятано содержимое, тем тупее становится топор. Практическое. Когда прилетит семнадцатый Android и у вас разом, без объяснений, перестанет открываться половина приложений — вы теперь знаете, где искать причину. И знаете, что «переустановите приложение» тут не поможет. Communicatio est victoria. — Душнила t.me/zas_svo vk.com/zas_svo #связь #шифрование #блокировки #DNS